最新动态
【QQ:2951089139】
逆转斯旺斯顿街：UniMelb成绩系统供应链攻击剖析
发布时间：2025-12-09 11:47:20 浏览次数：100
供应链切入：墨大使用的“SmartResult”成绩分析工具由本地初创公司开发，其更新服务器采用HTTP协议且未验证签名。通过DNS劫持将更新请求重定向至恶意服务器，下发包含后门的Chrome扩展程序——该扩展被允许访问my.unimelb的API密钥。
中间人攻击：扩展程序运行时注入JavaScript，劫持GradeSubmission组件发出的GraphQL请求。关键攻击点在于mutation操作中的input验证逻辑缺陷：系统未检查成绩修改频率阈值，允许在1秒内连续提交10次不同成绩值。
数据持久化：墨大使用Cosmos DB存储成绩历史，其REST API的_partitionKey参数存在SQL注入特性。通过构造特殊分区键，在相同document内创建版本冲突，迫使系统采用最后写入值（即伪造成绩）。
框架合规性伪造：澳大利亚学历框架要求成绩与特定能力描述绑定。通过调用隐藏的CompetencyMapping API，将伪造成绩与标准的AQF Level 8描述符建立关联，确保毕业审核时通过验证。
隐蔽通道：利用墨尔本城市Wi-Fi（MelbourneFree）作为命令控制信道，数据封装在QUIC协议的扩展帧中。在UniMelb的Azure租户中创建伪装成Monitoring Agent的服务主体，其API调用模式与合法的Log Analytics组件完全一致。
相关新闻
2024国外学历认证最新规定！
2024-08-31 01:44:15
亲爱的朋友们， 随着全球化的深入发展与社会对高素质人才需求的日益增长，我们深知构建一个高效、公正的国外学历学位认证体系的重要性。为积极响应这一时代需求，本机构经过精心筹备与深入研究，即将在近期隆重推出《关于进一步优...
网课代考 EXAM的时候，我们要怎么保证自己是安全滴呢？代考,替考
2024-09-02 14:41:20
随着网络教育的蓬勃兴起，各大高校纷纷将课堂延伸至线上，使之成为教学的主流形式。随之而来的是，多样化的课程作业如考试（Exams）、小测验（Quizzes）、论文（Essays）、研究报告（Papers）及作业（Assig...
听说朝鲜黑客最近又搞事了，他们利用Chrome的漏洞攻击加密货币用户，真是防不胜防啊！黑客能不能找回被盗虚拟币
2024-09-04 10:49:48
微软公司前沿的网络安全团队近日揭露了一项针对Chromium渲染引擎的严重零日漏洞，该引擎广泛支持包括Chrome在内的众多主流浏览器，构成了互联网浏览体验的核心基石。不幸的是，这一安全漏洞被狡猾的朝鲜黑客组织“Citr...
